- Yama var
- Son 7 gün
- CWE-346
- CWE-352
CVE-2026-58497
Uni-CLI'da eski HTTP MCP taşıyıcısı tarayıcı kaynaklı localhost isteklerini kabul ediyordu
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Uni-CLI, insanlar ve yapay zeka ajanları için web siteleri, tarayıcılar, masaüstü uygulamaları, yerel araçlar ve MCP için tek bir komut arayüzü sunar. 0.225.2 sürümünden önce Uni-CLI, yönlendirme yapmadan önce tarayıcı Origin başlıklarını doğrulamadan, eski JSON-RPC-over-HTTP MCP taşıyıcısını loopback üzerinde açığa çıkarıyordu. Kötü niyetli bir web sayfası, yerel /mcp uç noktasına text/plain gibi basit bir CORS POST isteği gönderebilir ve JSON-RPC gövdesini dağıtıcıya iletebilirdi. Kullanıcı yerel MCP HTTP taşıyıcısını başlatmışsa, bu sayfa kullanıcının yerel Uni-CLI sunucusuna karşı tools/call isteklerini yönlendirebilirdi. Streamable HTTP taşıyıcısı bu tarayıcıdan localhost'a sınırı zaten uyguluyordu; eski durumsuz HTTP yolu ise uygulamıyordu, bu nedenle iki HTTP taşıyıcısı birbirinden ayrılmıştı. Bu sorun tarayıcıdan localhost'a olan sınırla ilgilidir; Uni-CLI'ın yerel kod çalıştırma güven modelini değiştirmez. Sorun 0.225.2 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Uni-CLI gives people and agents one command interface for websites, browsers, desktop applications, local tools, and MCP. Prior to version 0.225.2, Uni-CLI exposed the legacy JSON-RPC-over-HTTP MCP transport on loopback without validating browser Origin headers before routing requests. A malicious web page could send a CORS simple POST request, such as text/plain, to the local /mcp endpoint and deliver a JSON-RPC body to the dispatcher. If the user had started the local MCP HTTP transport, that page could drive tools/call requests against the user's local Uni-CLI server. The Streamable HTTP transport already enforced this browser-to-localhost boundary. The legacy stateless HTTP path did not, so the two HTTP transports had drifted. This issue is about the browser-to-localhost boundary; it does not change Uni-CLI's local-code-execution trust model. This issue has been patched in version 0.225.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| olo-dot-io Uni-CLI | < 0.225.2 | 0.225.2 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.